Security Zone (Vùng an ninh) nghĩa là gì?
Là nhóm các interface (vật lý/ảo) được kiểm soát bởi một chính sách bảo mật (security policy) chung. Cisco ISA500 cung cấp zone định sẵn (Inside, Outside, DMZ, Management) với cài đặt mặc định. Có thể tạo zone tùy chỉnh thêm.
Các Security Zone khác nhau
| Zone | Mô tả | Ví dụ tài nguyên |
|---|---|---|
| Uncontrolled / Public Zone | Khu vực không kiểm soát (Internet) | Internet, Public cloud, Public Wi-Fi |
| Controlled Zone / DMZ | Khu vực kiểm soát, tiếp giáp Internet | Web server, Mail gateway, DNS public, VPN concentrator, Proxy |
| Restricted / High Security Zone | Khu vực hạn chế, bảo mật cao nhất | Database, Domain Controller, HSM, PKI, SCADA, Management network |
Mở rộng: Internal/Trusted Zone (Workstation, File server, App server nội bộ) – giữa DMZ và Restricted.
Security Zone trong Firewall
Trong firewall (Palo Alto, FortiGate, Check Point, Cisco FTD, Juniper SRX): Zone nhóm interface để kiểm soát và ghi log traffic qua các interface đó. Policy rule: Source Zone + Source IP + Destination Zone + Destination IP + Service + Action. Interface bắt buộc gán zone thì firewall mới xử lý traffic.
Network Zoning (Phân vùng mạng) là gì?
Trong Storage Area Network (SAN): Zoning chia workload, cân bằng tải, kiểm soát truy cập dữ liệu. Giống hệ thống thư mục (folder/directory) trên máy tính. Zone = folder chứa thiết bị storage cùng quyền truy cập.
Trong Network Security: Phân chia mạng thành các zone (segment) dựa trên trust level, function, compliance – thực thi least privilege, chứa hứng breach.
3 Zone của Firewall (Mô hình đơn giản)
- Inside / Trusted / Private: Mạng nội bộ, tin cậy cao (Workstation, Server nội bộ).
- Outside / Untrusted / Public: Internet, mạng không tin cậy.
- DMZ / Public Zone: Server công khai, cách ly giữa Inside và Outside.
Firewall Security Zone (Chi tiết)
Zone dùng trong policy rule để đánh giá: traffic từ zone nào → zone nào → action gì. Cho phép: granular control (theo zone), logging per zone, dễ dàng thêm interface mới vào zone hiện có mà không sửa rule.
Zoning và các loại trong bảo mật
Segment hệ thống thành security zones → chọn subset asset áp dụng control phù hợp. Firewall, VLAN, Micro-segmentation (NSX, ACI, Calico), SDP/ZTNA dùng để tách zone. Mục đích: hạn chế tác động sự cố (blast radius).
High Security Zone (Khu vực bảo mật cao)
Khu vực gần như không thể truy cập bởi công chúng. Yêu cầu: Authorization (phê duyệt) + Screening (kiểm tra) + Escorted entry (có người dẫn đường). Ví dụ: Data center core, Server room, HSM room, SCADA control room.
Ví dụ Untrusted Security Zone
Untrusted Zone = WAN side của security appliance (bên ngoài, không bảo vệ). Mặc định: traffic từ zone khác KHÔNG được vào Untrusted, nhưng traffic từ Untrusted ĐƯỢC phép vào zone khác (nếu rule allow) – đây là hướng inbound từ Internet.
Zoning và loại zoning trong bảo mật
Thiết bị bảo mật/mạng tách zone bằng Zone Interface Points (ZIP). Thiết kế zoned network cho phép: kiểm soát và hạn chế truy cập, luồng dữ liệu theo component/user cụ thể – như mô tả trong security policy.
Security Zone trong Networking
Thuật ngữ quản trị: nhóm hệ thống yêu cầu cùng access control rules. IP address trong mạng đa cấp phải xác định dự đoán được: single system hoặc group system chia sẻ cùng access policy.
Management Network Zone (Vùng quản trị)
Hệ thống quản trị mạng (NMS, SIEM, AAA, Syslog, Config mgmt, Out-of-band management) – zone bị kiểm soát chặt chẽ, chỉ ít user được truy cập. Không đảm bảo truy cập ngang giữa các zone.